Arrest 251378 - Overheidsopdrachten - 19/08/2021

id="page_main" x-ms-format-detection="none"> Print deze pagina Afdrukformaat S M L XL Nieuwe JUPORTAL-zoekopdracht Sluit Tab Raad van State Vonnis/arrest van 19 augustus 2021 ECLI nr: ECLI:BE:RVSCE:2021:ARR.251.378 Rolnummer: A. 234221/XII-9119 Zaak: Arrest 251378 - Overheidsopdrachten - 19/08/2021 Rechtsgebied: Bestuursrecht Invoerdatum: 2021-08-20 Raadplegingen: 72 - laatst gezien 2026-06-20 00:31 Fiche Arrest nr 251.378 van 19 augustus 2021 Overheidsopdrachten en openbare werken - Overheidsopdrachten Beslissing : Verwerping Inwilliging tussenkomst Thesaurus CAS: RAAD VAN STATE UTU-thesaurus: PUBLIEK EN ADMINISTRATIEF RECHT - RAAD VAN STATE - Arresten (Raad van State) Tekst van de beslissing RAAD VAN STATE, AFDELING BESTUURSRECHTSPRAAK VOORZITTER VAN DE XIIe VAKANTIEKAMER nr. 251.378 van 19 augustus 2021 in de zaak A. 234.221/XII-9119 In zake:

1. de BV QARIN
2. de BV ROTTERDAMSE MOBILITEIT CENTRALE RMC bijgestaan en vertegenwoordigd door advocaten William Timmermans en Lies Vanquathem kantoor houdend te 1000 Brussel Havenlaan 86 C/414 bij wie woonplaats wordt gekozen tegen: het VLAAMSE GEWEST bijgestaan en vertegenwoordigd door advocaten Kris Wauters en Tess Van Gaal kantoor houdend te 1170 Brussel Terhulpsesteenweg 187 bij wie woonplaats wordt gekozen Tussenkomende partij: de BV VIAVAN TECHNOLOGIES bijgestaan en vertegenwoordigd door advocaten Frank Judo en Sarah Van Den Brande kantoor houdend te 1000 Brussel Keizerslaan 3 bij wie woonplaats wordt gekozen -------------------------------------------------------------------------------------------------- I. Voorwerp van de vordering
3. De vordering, ingesteld op 3 augustus 2021, strekt tot de schorsing bij uiterst dringende noodzakelijkheid van de tenuitvoerlegging van “de gunningsbeslissing van 16 juli 2021 van [het Vlaamse Gewest] waarbij de overheidsopdracht voor het inrichten en uitbaten van de in het decreet basisbereikbaarheid kaderende Mobiliteitscentrale wordt gegund aan de besloten vennootschap Via Van Technologies […].” XII-9119-1/20 II. Verloop van de rechtspleging
4. De verwerende partij heeft een nota ingediend. Met een verzoekschrift van 10 augustus 2021 heeft de bv Viavan Technologies gevraagd om in het administratief kort geding te mogen tussenkomen. De partijen zijn opgeroepen voor de terechtzitting, die heeft plaatsgevonden op 17 augustus 2021, om 10.00 uur. Kamervoorzitter Eric Brewaeys heeft verslag uitgebracht. Advocaat William Timmermans en advocaat Gerrit Vandendriessche, loco advocaat Lies Vanquathem, die verschijnen voor de verzoekende partijen, advocaten Kris Wauters, Tess Van Gaal en Michiel Van Lerbeirghe, die verschijnen voor de verwerende partij, en advocaat Frank Judo en advocaat Etienne Kairis, loco advocaat Sarah Van Den Brande, die verschijnen voor de tussenkomende partij, zijn gehoord. Eerste auditeur-afdelingshoofd Ann Eylenbosch heeft een met dit arrest eensluidend advies gegeven. Er is toepassing gemaakt van de bepalingen op het gebruik der talen, vervat in titel VI, hoofdstuk II, van de wetten op de Raad van State, gecoördineerd op 12 januari
5. III. Feiten
6. Op 2 april 2021 gunt de verwerende partij de overheidsopdracht een eerste maal aan de bv ViaVan Technologies (hierna: Viavan). Bij arrest nr. 250.599 van 12 mei 2021 schorst de Raad op vordering van de verzoekende partijen de uitvoering van die eerste gunningsbeslissing. De voorgaande feiten zijn uiteengezet in dit arrest. XII-9119-2/20 Na dit het schorsingsarrest trekt de verwerende partij op 16 juli 2021 de eerste gunningsbeslissing van 2 april 2021 in. Op dezelfde datum gunt zij de opdracht opnieuw aan ViaVan. Dit is de bestreden beslissing. Op 19 juli 2021 worden de verzoekende partijen per e-mailbericht van de gunningsbeslissing in kennis gesteld. IV. Tussenkomst
7. De bv Viavan Technologies blijkt voordeel te halen uit de bestreden beslissing en heeft er belang bij dat de vordering wordt afgewezen. Bijgevolg moet haar verzoek tot tussenkomst worden ingewilligd. V. De vertrouwelijkheid van de stukken
8. Zowel de verzoekende partijen als de verwerende partij vragen om een aantal stukken als vertrouwelijk te behandelen. In de huidige stand van het geding kunnen de verzoeken tot vertrouwelijke behandeling van deze stukken worden ingewilligd. De stukken waarvan de vertrouwelijke behandeling wordt gevraagd zijn afzonderlijk neergelegd, de vertrouwelijkheid ervan is uitdrukkelijk aangegeven en vermeld in de inventaris en de motieven voor die vraag worden weergeven in het verzoekschrift en de nota. Er belet dus alvast op formeel vlak de Raad van State niets om in te gaan op de gevraagde vertrouwelijke behandeling. Hoe dan ook kan erop worden gewezen dat het voorgaande niet belet dat de Raad van State de vertrouwelijk neergelegde stukken wel bij zijn beoordeling van de aangevoerde middelen mag betrekken. XII-9119-3/20 De als vertrouwelijk bestempelde stukken worden voorlopig afzonderlijk in het dossier opgenomen. VI. Ontvankelijkheid van de vordering
9. Vooralsnog bestaat er geen noodzaak om over de door de tussenkomende partij opgeworpen ontvankelijkheidsexcepties uitspraak te doen. Een onderzoek van en een uitspraak over die excepties zou alleen nodig zijn indien de grondvoorwaarden voor het toewijzen van de vordering tot schorsing vervuld zijn, wat, zoals hierna zal blijken, niet het geval is. VII. Schorsingsvoorwaarden
10. Uit de samenlezing van artikel 17, §§ 1 en 4, van de gecoördineerde wetten op de Raad van State en artikel 15 van de wet van 17 juni 2013 ‘betreffende de motivering, de informatie en de rechtsmiddelen inzake overheidsopdrachten, bepaalde opdrachten voor werken, leveringen en diensten en concessies’ dient te dezen enkel te worden onderzocht of minstens één ernstig middel wordt aangevoerd, dan wel een klaarblijkelijke onwettigheid aanwezig is, die de nietigverklaring van de bestreden beslissing kunnen verantwoorden. VIII. Onderzoek van de middelen A. Eerste middel Uiteenzetting van het middel
11. Een eerste middel is genomen uit de schending van artikel 28.1 en 28.3, artikel 32 en artikel 44 van de Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 ‘betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (Algemene Verordening Gegevensbescherming of AVG)’, van het advies van de Vlaamse Toezichtcommissie (VTC) nr. 2020/05 van 8 september 2020 ‘betreffende lnformatieveiligheid en GDPR-conformiteit 4 Platformen XII-9119-4/20 Onderwijs - Amazon Web Services (AWS)’, van artikel 38 van de wet van 17 juni 2016 ‘inzake overheidsopdrachten’, van artikel 76 van het koninklijk besluit van 18 april 2017 ‘plaatsing overheidsopdrachten in de klassieke sectoren’ en van het beginsel ‘patere legem quam ipse fecisti’. De verzoekende partijen vatten dit middel zelf als volgt samen: “Doordat de verwerende partij gekozen heeft om de opdracht te gunnen aan ViaVan Technologies BV, een dochteronderneming van een Amerikaanse entiteit Via Transportation lnc. (enige aandeelhouder), die een beroep doet op de draagkracht van de Amerikaanse onderneming River North Transit LLC USA, en die blijkens de gunningsbeslissing voor de uitvoering van de opdracht gebruik zal maken van AWS (hetgeen staat voor Amazon Web Services, eveneens een Amerikaanse onderneming) ; Dat in het kader van deze opdracht op grootschalige wijze persoonsgegevens zullen worden verwerkt, te weten alles wat nodig is opdat gebruikers van de Mobiliteitscentrale zich van locatie A en naar B (adres, tijdstip, identificatiegegevens, etc.) kunnen verplaatsen, inclusief gebruikersnaam, login, bankgegevens voor de facturatie; Dat in het kader van deze opdracht bovendien ook speciale categorieën van persoonsgegevens aangaande deze gebruikers zullen worden verwerkt, waaronder gegevens over de eventuele fysieke beperkingen van een gebruiker (gezondheidsgegevens), persoonsgegevens van kwetsbare betrokkenen (minderjarigen) en unieke identificatienummers (i.e. rijksregisternummer), hetgeen betekent dat de vereisten voor de technische en organisatorische maatregelen ter waarborging van de veiligheid van de gegevens nog hoger liggen dan gebruikelijk (artikel 32 AVG); Dat volgens het bestek de verwerende partij de verwerkingsverantwoordelijke zal zijn en de gekozen inschrijver de verwerker in de zin van de AVG; Dat de gunning van de opdracht door verwerende partij aan ViaVan tot gevolg heeft dat verwerende partij als verwerkingsverantwoordelijke persoonsgegevens van gebruikers van de Mobiliteitscentrale doorgeeft aan ontvangers in de Verenigde Staten die onderworpen zijn aan de zogenaamde FlSA-wetgeving van de V.S., met name de ontvangers AWS, Via Transportation lnc. en mogelijk ook River North Transit LLC; Terwijl, eerste onderdeel, artikel 44 van de AVG vereist dat elke doorgifte van persoonsgegevens naar een derde land enkel kan plaatsvinden mits er een doorgiftegrond voorhanden is op grond van de artikelen 45 tot en met 50 AVG; XII-9119-5/20 Dat ingevolge het Schrems ll arrest van het Hof van Justitie, er voor doorgiftes van persoonsgegevens naar ontvangers in de Verenigde Staten die onderworpen zijn aan de FISA-wetgeving, geen geldige doorgiftegrond meer voorhanden is (waaronder de standaardbepalingen); Dat verwerende partij, door de opdracht te gunnen aan ViaVan, als verwerkingsverantwoordelijke niet kan voldoen aan de vereiste van een geldige doorgiftegrond zoals gesteld door artikel 44 van de AVG; Dat artikel 28.1 van de AVG de verwerende partij (als verwerkingsverantwoordelijke) ook verplicht alleen te werken met verwerkers ‘die afdoende garanties met betrekking tot het toepassen van passende technische en organisatorische maatregelen bieden opdat de verwerking aan de vereisten van deze verordening voldoet’; dat er aldus op verwerende partij krachtens het Unierecht een verplichting rust om uitstuitend een beroep te doen op verwerkers en subverwerkers die afdoende garanties bieden; Dat de gekozen inschrijver als verwerker op grond van artikel 44 van de AVG zelf ook geen persoonsgegevens mag doorgeven naar een derde land tenzij op basis van een geldige doorgiftegrond; Dat, gelet op de afwezigheid van een geldige doorgiftegrond voor doorgiftes door de inschrijver naar de Verenigde Staten, de offerte van de gekozen inschrijver aldus niet in overeenstemming kan zijn met de AVG; Dat de vereiste van naleving van de AVG door de inschrijver voor deze opdracht als een minimumvereiste van het bestek moet worden beschouwd; dat offertes die aan die vereiste niet beantwoorden substantieel onregelmatig zijn en moeten worden geweerd; Dat verwerende partij deze offerte diende te weren op grond van artikel 28.1 van de AVG bij gebrek aan afdoende garanties voor de naleving van de AVG, en in overeenstemming met het bestek en de in het middel aangehaalde bepalingen en beginselen; Terwijl tweede onderdeel, artikel 32 van de AVG vereist dat de verwerkingsverantwoordelijke en de verwerker passende technische en organisatorische maatregelen treffen om de veiligheid van de verwerking te waarborgen rekening houdend met de risico’s; Dat het hierbij gaat om een grootschalige overdracht van persoonsgegevens aan eenzelfde niet-Europese cloudprovider, terwijl niet bewezen is dat de gegevensbescherming van het land van de ontvanger (de V.S.) van de gegevens vergelijkbaar is met de Europese; Dat krachtens het voormeld advies van de VTC, geen maatregelen voorhanden zijn om de veiligheid van de verwerking van XII-9119-6/20 persoonsgegevens zoals hier wordt beoogd te waarborgen, zodat het verwerken van gegevens voor deze opdracht zoals voorgesteld door de gekozen inschrijver strijdig is met de AVG; Dat verwerende partij de offerte van de gekozen inschrijver diende te weren in overeenstemming met het bestek en de in het middel aangehaalde bepalingen en beginselen; Terwijl derde onderdeel, artikel 28.1 van de AVG de verwerende partij verplicht alleen te werken met verwerkers ‘die afdoende garanties met betrekking tot het toepassen van passende technische en organisatorische maatregelen bieden’; dat artikel 28.3 van de AVG de verwerende partij verplicht de verwerking door de verwerker (hier: de gekozen inschrijver) te regelen ‘in een overeenkomst of andere rechtshandeling krachtens het Unierecht of het lidstatelijke recht die de verwerker ten aanzien van de verwerkingsverantwoordelijke bindt’ en dat die overeenkomst onder meer moet inhouden dat de verwerker enkel op instructie van de verwerkingsverantwoordelijke persoonsgegevens kan meedelen naar derde landen en ‘alle overeenkomstig artikel 32 vereiste maatregelen neemt’ (dit zijn de passende en technische en organisatorische maatregelen); Dat het louter invullen van een vragenlijst door de gekozen inschrijver wat de (mogelijke) doorgifte aan de V.S. betreft (bijlage Vl.6 bij het bestek), niet gelijk staat met de contractuele verplichting voor de gekozen inschrijver om al deze maatregelen te blijven toepassen en te handhaven tijdens de uitvoering van de opdracht; Dat uit het bestek overigens uitdrukkelijk blijkt dat er geen verwerkersovereenkomst zal worden afgestoten aangezien het bestek uitdrukkelijk bepaalt dat de bepalingen inzake de verwerking van persoonsgegevens in dit bestek dergelijke verwerkersovereenkomst vervangen; dat de gekozen inschrijver bijgevolg evenmin dergelijke contractuele verplichting op zich zal nemen bij het afstuiten van een verwerkersovereenkomst; Dat, zelfs in de hypothese dat er nog een verwerkersovereenkomst zou worden afgesloten in de zin van artikel 28.3 van de AVG (quod non volgens het bestek), die overeenkomst in geen geval zal kunnen voldoen aan de AVG omdat de verwerende partij onmogelijk de vereiste instructies kan geven aan de gekozen inschrijver om persoonsgegevens mee te delen naar de V.S. omdat er voor de V.S. geen geldige doorgiftegrond bestaat; Dat de offerte van de gekozen inschrijver, wat betreft de mogelijke doorgifte aan de V.S., aldus niet in overeenstemming kan zijn met de AVG zodat verwerende partij die offerte diende te weren, in overeenstemming met de AVG en in overeenstemming met het bestek en de in het middel aangehaalde bepalingen en beginselen”. XII-9119-7/20 Beoordeling Eerste onderdeel
12. In het arrest nr. 250.599 van 12 mei 2021 heeft de Raad van State reeds prima facie vastgesteld dat “(d)e gekozen inschrijver (…) een volledige dochteronderneming (blijkt) te zijn van Via Transportation Inc., gevestigd in de VS , die voor de uitvoering van de opdracht lijkt te willen gebruikmaken van Amazon Web Services (AWS)”. Ook werd vastgesteld dat “(u)it het op de opdracht toepasselijk bestek met nr. AB/2019/05 blijkt dat de uitvoering van de opdracht onder meer de verwerking van persoonsgegevens op grote schaal impliceert. Zoals ook blijkt uit bijlage VI.4 bij het bestek zal dit onder meer ook de verwerking van gevoelige persoonsgegevens omvatten zoals gezondheidsgegevens (handicap, allergieën), evenals van gegevens van kwetsbare betrokkenen (gegevens in verband met sociale ondersteuning van het individu; betrekkingen met andere personen dan verwanten) en van unieke identificatienummers (bankrekeningnummer, kredietkaartnummer).”
13. Op het eerste gezicht kan in het huidige geval eveneens worden aangenomen dat het gaat om “doorgifte” van persoonsgegevens binnen de werkingssfeer van de AVG. Bijgevolg moet deze doorgifte zijn gedekt door een geldig doorgifte-mechanisme waarin de artikelen 45, 46 en 49 AVG voorzien. De verzoekende partijen verwijzen naar het arrest Schrems II van het Hof van Justitie van 16 juli 2020, C-311/18, om de aanwezigheid van een geldig doorgifte-mechanisme te betwisten.
14. In dit arrest heeft het Hof van Justitie zich uitgesproken over de geldigheid van twee welbepaalde doorgifte-mechanismen in geval van doorgiften van persoonsgegevens vanuit de EU/EER naar de VS. Het ging meer bepaald om de geldigheid van: XII-9119-8/20 a. de zogenaamde “standaardbepalingen”, vastgesteld door de Europese Commissie in het besluit van de Europese Commissie van 5 februari 2010 ‘betreffende de modelcontractbepalingen voor de doorgifte van persoonsgegevens aan in derde landen gevestigde verwerkers krachtens Richtlijn 95/46/EG van het Europees Parlement en de Raad’, (hierna: MCB-besluit) Pb.L. 39 van 12 februari 2010, p. 5-
15. Thans het uitvoeringsbesluit (EU) 2021/194 van de Commissie van 4 juni 2021 ‘betreffende standaardcontractbepalingen voor de doorgifte van persoonsgegevens naar derde landen overeenkomstig Verordening (EU) 2016/679 van het Europees Parlement en de Raad’, PB 7 juni 2021,) die een instrument zijn voor passende waarborgen in de zin van artikel 46.2.c AVG; b. het zogenaamde “Privacy Shield” besluit (hierna: het Privacyschildbesluit), vastgesteld door de Europese Commissie in de Uitvoeringsverordening van de Europese Commissie van 12 juli 2016 overeenkomstig Richtlijn 95/46/EG van het Europees Parlement en de Raad ‘betreffende de gepastheid van de door het EU-VS-privacyschild geboden bescherming’, Pb.L. 207 van 1 augustus 2016, p. 1-112.), dat een specifieke adequaatheidsregeling voor de VS in het leven riep in de zin van artikel 45.1 AVG.
16. Het Hof oordeelde dat het Amerikaanse rechtssysteem (in het bijzonder Sectie 702 FISA en EO 1é3) geen passend beschermingsniveau biedt dat in grote lijnen vergelijkbaar is met het beschermingsniveau dat geboden wordt in de EU. Beide instrumenten worden door de Amerikaanse overheid gebruikt om Amerikaanse inlichtingendiensten toegang te geven tot gegevens van buitenlandse oorsprong, met inbegrip van persoonsgegevens, die verwerkt worden door privébedrijven die onder het toepassingsgebied van deze wetgeving vallen. Het Hof oordeelde dat het privacyschildbesluit, ongeldig is. Dit besluit kan bijgevolg niet langer worden gebruikt om doorgiften van persoonsgegevens naar de Verenigde Staten te legitimeren. Daarbij merkte het Hof wel op dat de ongeldigverklaring van het privacyschildbesluit niet tot een rechtsvacuüm voor doorgiften van persoonsgegevens leidt. XII-9119-9/20 Wat de geldigheid van het MCB-besluit betreft en dus de standaardbepalingen, komt het Hof echter uitdrukkelijk tot de vaststelling dat deze geldig blijven: “
17. Hieruit volgt dat het MCB-besluit voorziet in doeltreffende mechanismen waarmee in de praktijk kan worden verzekerd dat de doorgifte van persoonsgegevens naar een derde land op basis van de standaardbepalingen inzake gegevensbescherming van de bijlage bij dat besluit wordt opgeschort of verboden wanneer de ontvanger van de doorgifte die bepalingen niet naleeft of niet in staat is die na te leven.
18. Gelet op een en ander moet op de zevende en de elfde vraag worden geantwoord dat bij de toetsing van het MCB-besluit aan de artikelen 7, 8 en 47 van het Handvest niet is gebleken van feiten of omstandigheden die de geldigheid van dat besluit kunnen aantasten.”
19. In zoverre de verzoekende partijen opwerpen dat de standaardbepalingen ongeldig zijn wegens het gebrek aan afdwingbare rechten en doeltreffende rechtsmiddelen in het Amerikaans rechtssysteem en dat de enige reden waarom het Hof van Justitie niet ook het MCB-besluit nietig heeft verklaard, was omdat deze bepalingen gelden voor doorgiftes naar eender welk derde land in tegenstelling tot het EU-US Privacyschildbesluit dat beperkt was tot doorgiftes naar de VS, lijkt in deze stand van het geding te kunnen worden volstaan met de verwijzing naar het arrest Schrems II dat de geldigheid van deze standaardbepalingen heeft bevestigd.
20. Het Hof overweegt in zijn arrest weliswaar dat het de taak is van de verwerkingsverantwoordelijke of verwerker om in ieder concreet geval na te gaan of de standaardbepalingen kunnen worden nageleefd bij doorgifte naar een derde land en dat, indien wordt vastgesteld dat de standaardbepalingen niét kunnen worden nageleefd gelet op het recht in het land van bestemming, de verwerkingsverantwoordelijke of verwerker nagaat welke aanvullende maatregelen genomen kunnen worden om de geïdentificeerde leemten op te vullen.
21. In navolging van het arrest Schrems II heeft het Europees Comité voor Gegevensbescherming in november 2020 voorts twee sets van aanbevelingen gepubliceerd : 1) Aanbevelingen 01/2020 van 10 november 2020 ‘inzake maatregelen ter aanvulling op doorgifte-instrumenten teneinde naleving XII-9119-10/20 van het beschermingsniveau van persoonsgegevens in de Unie te waarborgen’ en de update ervan van 18 juni 2021 en 2) Aanbevelingen 02/2020 van 10 november 2020 ‘over de Europese essentiële garanties voor surveillancemaatregelen’. Deze aanbevelingen reiken verwerkingsverantwoordelijken en verwerkers die persoonsgegevens wensen door te geven naar derde landen de nodige hulpmiddelen aan om een analyse te maken van het recht, en dan in het bijzonder het recht dat betrekking heeft op surveillancemaatregelen, in dat derde land om na te gaan of een eventuele toegang tot persoonsgegevens als een gerechtvaardigde inmenging beschouwd kan worden en om de maatregelen te identificeren die deze verwerkingsverantwoordelijken en verwerkers aanvullend kunnen nemen bovenop een doorgifte-mechanisme zoals de standaardbepalingen, om passende waarborgen te bieden.
22. De stelling van de verzoekende partijen dat geen enkele aanvullende maatregel denkbaar is die kan toelaten het ontoereikende niveau van gegevensbescherming in de VS te verhelpen, ook niet met versleuteling of pseudonimisering, lijkt in zijn algemeenheid voorbij te gaan aan de wijze waarop die maatregelen kunnen worden geïmplementeerd. Uit het dossier lijkt te mogen worden afgeleid dat noch het VTC, noch het Europees Comité voor gegevensbescherming zich als dusdanig verzetten tegen volledige encryptie van data voordat ze bij de dienstverlener worden geplaatst en waarbij de encryptiesleutels volledig in eigen controle worden gehouden door de Vlaamse beroepsinstantie. Uit het dossier blijkt dat de gekozen inschrijver een uitgebreide set aan waarborgen voorziet.
23. De verzoekende partijen maken aldus niet met de vereiste ernst aannemelijk dat van zodra sprake is van doorgifte van persoonsgegevens naar een entiteit in de VS, de AVG wordt geschonden omdat geen geldig doorgifte-mechanisme voorhanden zou zijn en de verwerker in ieder geval geen dienstige waarborgen kan aanreiken die kunnen remediëren aan een ontoereikend niveau van gegevensbescherming in het land van bestemming. Het eerste onderdeel is niet ernstig. XII-9119-11/20 Tweede onderdeel
24. Artikel 32 AVG bepaalt dat de verwerkingsverantwoordelijke en de verwerker passende technische en organisatorische maatregelen moeten treffen om een op het risico afgestemd beveiligingsniveau te waarborgen en dit rekening houdend met “de stand van de techniek, de uitvoeringskosten, alsook met de aard, de omvang, de context en de verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van personen.”
25. Het advies van de VTC van 8 september 2020 betreft een advies zonder bindende kracht, waarin zeer specifieke situaties werden behandeld. Het advies start met het volgende voorbehoud: “Het gaat in de adviesaanvraag over vier concrete casussen. De VTC vraagt dat voor andere casussen terug naar de VTC gekomen wordt”. Zulks lijkt de stelling van de verzoekende partijen dat de VTC een algemene draagwijdte heeft willen geven aan haar advies van 8 september 2020, te ondermijnen. In zoverre de verzoekende partijen argumenten putten uit de inhoud van dit advies, met inbegrip van de beoordeling die zij maken op grond van de risicomatrix, opgenomen in het advies van 8 september 2020, is het onderdeel, alleszins niet ernstig. Het tweede onderdeel is niet ernstig. Derde onderdeel
26. Artikel 28.3 van de AVG bepaalt dat de verwerking door een verwerker wordt geregeld in een overeenkomst of andere rechtshandeling krachtens het Unierecht of het lidstatelijke recht die de verwerker ten aanzien van de verwerkingsverantwoordelijke bindt. Die overeenkomst of rechtshandeling bepaalt onder meer dat de verwerker alle overeenkomstig artikel 32 van de AVG vereiste maatregelen neemt, dit is de passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen.
27. De verzoekende partijen maken prima facie niet aannemelijk en evenmin valt spontaan in te zien waarom de besteksbepalingen inzake XII-9119-12/20 gegevensbescherming zich zouden verzetten tegen bijkomende contractuele afspraken tussen de verwerende partij als verwerkingsverantwoordelijke en de gekozen inschrijver als verwerker indien nodig om te voldoen aan het vereiste van artikel 28 van de AVG.
28. Voor zover de verzoekende partijen betwisten dat de verwerende partij hoe dan ook niet de vereiste instructies kan geven aan de gekozen inschrijver om persoonsgegevens mee te delen naar de VS omdat er voor de VS geen geldige doorgiftegrond bestaat, wordt verwezen naar de beoordeling van het eerste onderdeel. Het derde onderdeel is niet ernstig. Het eerste middel is, in zijn geheel genomen, niet ernstig. B. Tweede middel Uiteenzetting van het middel
29. Een tweede middel is genomen uit de schending van uit de schending van de artikelen 28 en 32 van de Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (AVG), de artikelen 4 en 38 van de wet van 17 juni 2016 ‘inzake overheidsopdrachten’, de artikelen 4, 8° en 5, 9° van de wet van 17 juni 2013 ‘betreffende de motivering, de informatie en de rechtsmiddelen inzake overheidsopdrachten, bepaalde opdrachten voor werken, leveringen en diensten en concessies’, de artikelen 2 en 3 van de wet van 29 juli 1991 ‘betreffende de uitdrukkelijke motivering van de bestuurshandelingen’, artikel 76, §1 van het koninklijk besluit van 18 april 2017 ‘plaatsing overheidsopdrachten in de klassieke sectoren’, het patere legem quam ipse fecisti beginsel, het zorgvuldigheidsbeginsel en de materiële motiveringsplicht als algemene beginselen van behoorlijk bestuur. XII-9119-13/20 Zij vatten dit middel zelf als volgt samen: Doordat, eerste onderdeel, verwerende partij niet zorgvuldig heeft onderzocht waarom de gekozen inschrijver de AVG kan en zal naleven in het kader van deze opdracht; Dat verwerende partij zich beperkt heeft tot loutere stellingnames en tot het weergeven van een kort overzicht van het onderzoek van de Functionaris gegevensbescherming/DPO waaronder de vermelding: ‘mogelijks speelt hier wel de doorgifte naar landen buiten EER, maar niets wijst er op dit moment op dat deze doorgifte niet conform de geldende doorgiftemechanismen zou kunnen gebeuren’ (zie pagina 5 van de bestreden beslissing); Dat de bestreden beslissing niet ingaat op de problematiek van doorgifte van persoonsgegevens aan de VS, zoals in het geval van ViaVan; dat de bestreden beslissing geen antwoord biedt op essentiële vragen m.b.t. de AVG-conformiteit van deze offerte, te weten: (i) is er sprake van doorgifte naar landen buiten de EER, en (ii) zo ja, naar welke landen (V.S., andere?) en (iii) op basis van welk AVG-conform doorgiftemechanisme gebeurt deze doorgifte?; Dat het onderzoek onzorgvuldig is gebeurd en dat de opgegeven motieven in rechte onjuist zijn; Dat minstens de formelemotiveringsplicht is geschonden; Terwijl de vereiste van de verplichte naleving van de AVG door de opdrachtnemer niet enkel uit de AVG volgt maar ook uit de uitvoerige besteksbepalingen over de naleving van de AVG door de inschrijvers; Dat de overwegingen van de bestreden beslissing kennelijk onvoldoende zijn indien vooraf al vaststaat dat er doorgifte van persoonsgegevens zal zijn aan de V.S., zoals in het geval van ViaVan; dat, mede gelet op het tussengekomen schorsingsarrest van Uw Raad, verwerende partij minstens ondubbelzinnig de volgende vragen zorgvuldig moest onderzoeken en afdoende moest beantwoorden wat betreft de offerte van de gekozen inschrijver: (i) is er sprake van doorgifte naar landen buiten de EER, en (ii) zo ja, naar welke landen (V.S., andere?) en (iii) op basis van welk AVG-conform doorgiftemechanisme gebeurt deze doorgifte?; dat dit kennelijk niet gebeurd is; Dat verwerende partij op zorgvuldige wijze de verenigbaarheid van de offertes met de AVG diende na te gaan en de resultaten van dit regelmatigheidsonderzoek diende te veruitwendigden in de bestreden beslissing; XII-9119-14/20 Dat de aangevoerde motieven in rechte correct moeten zijn en dat de motivering afdoende moet zijn; En doordat, tweede onderdeel, verwerende partij de offertes van de inschrijvers niet heeft beoordeeld wat betreft de naleving van de AVG in het kader van het subgunningscriterium ‘lCT Architectuur’ en de offerte van ViaVan niet als ‘onvoldoende’ of als ‘matig’ heeft beoordeeld op vlak van het subgunningscriterium ‘lCT Architectuur’ en deze offerte niet heeft geweerd, Terwijl uit het bestek kan worden afgeleid dat indien de offerte op één van de gunningscriteria, zoals het subgunningscriterium ‘lCT Architectuur’ met een onvoldoende of matig wordt beoordeeld, dit impliceert dat de offerte niet voldoet aan de minimale vereisten van het bestek en bijgevolg als substantieel onregelmatig aangemerkt moet worden, Dat dergelijke evaluatie van de gunningscriteria onderscheiden moet worden van de algemene evaluatie van de regelmatigheid van de offertes, Dat de offerte van ViaVan niet kan voldoen aan de AVG zodat die offerte als ‘onvoldoende’ of als ‘matig’ moest worden beoordeeld op vlak van het subgunningscriterium ‘lCT Architectuur’ en bijgevolg moest worden geweerd, Dat minstens uit de bestreden beslissing niet blijkt waarom zulks niet is gebeurd.” Beoordeling Eerste onderdeel
30. De thans bestreden beslissing bevat de volgende passage inzake de “materiële regelmatigheid” van de offertes: “
31. 1 Materiële regelmatigheid In het algemeen stelt het beoordelingsteam bij het in detail onderzoeken van de verschillende ingediende offertes geen afwijkingen vast op de essentiëIe besteksbepalingen. Er zijn geen elementen in de offertes, die de ene of de andere inschrijver een discriminerend voordeel biedt, tot concurrentievervalsing leidt, de beoordeling van de offerte van de inschrijver of de vergelijking ervan met de andere offertes verhindert, of de verbintenis van de inschrijver om de opdracht onder de gestelde voorwaarden uit te voeren onbestaande, onvolledig of onzeker maakt. Verder ging de beoordelingscommissie ook na of er geen reden was om een van de offertes substantieel onregelmatig te verklaren op grond van een van XII-9119-15/20 de vermoedens vermeld in artikel 76,§ 1, Iid 3 KB Plaatsing. Dit is niet het geval. Verder is er ook geen sprake van niet-substantiële onregelmatigheden. Dit geeft bijgevolg volgend resultaat: (…) Een nader apart onderzoek vond plaats aangaande de garanties, die de verschillende offertes te bieden hebben, inzake de naleving van de bepalingen van de Verordening (EU) 2016/679 en de wet van 30 juli 2018, betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens, gepubliceerd in BS op 5 september
32. Het bestek heeft in dat kader immers aan de aanbestedende overheid een recht tot ‘uitsluiting’ van de inschrijver gegeven, waardoor in geval van onregelmatigheid de aanbestedende overheid de offerte kan weren. Voornoemd onderzoek werd verricht door de Functionaris gegevensbescherming/DPO binnen het departement mobiliteit & openbare werken en dit in samenspraak met zijn team. In de eerste plaats komt hij tot de vaststelling dat de verschillende inschrijvers alle documenten die een onderzoek naar de waarborgen inzake de verwerkingen van persoonsgegevens mogelijk maakten, correct en volledig hebben ingevuld. Het gaat meer specifiek om de bijlage met de te verwerken persoonsgegevens, de bijlage met minimale maatregelen (bijlage 4.B.), de bijlage met betrekking tot het onderzoek van de betreffende datacenters en cloudleveranciers en de bijlage aangaande de mogelijke doorgifte naar landen buiten de EER (bijlage VI.6.). In dit stadium was er geen bijkomende informatie nodig in het licht van het onderzoek dat nu kon en diende gevoerd te worden. De Functionaris gegevensbescherming/DPO komt na een grondig onderzoek van alle ingediende BAFO's inzake de materiële regelmatigheid van de offertes tot het besluit dat alle offertes de minimale garanties inzake de bescherming van persoonsgegevens kunnen bieden. Hierbij kan men niet vooruitlopen op alle hypotheses op het vlak van verwerking van persoonsgegevens, die zich al dan niet kunnen voordoen bij de aanvang van de uitvoering van de opdracht. Concreet vloeien volgende vaststellingen voort uit het onderzoek van de Functionaris gegevensbescherming / DPO : -ViaVan Technologies BV: haar antwoorden te vinden in bijlage 4.B. tonen aan dat haar offerte een meer dan behoorlijke invulling geeft aan de minimale maatregelen, waardoor haar offerte inzake materiële regelmatigheid beter scoort dan wat het bestek vereist. De antwoorden m.b.t. de gebruikte infrastructuur wijzen op zeer behoorlijke waarborgen m.b.t. bescherming van persoonsgegevens, wat dus ook een materiële regelmatigheid aantoont die verder gaat dan wat het bestek vereist. Mogelijks speelt hier wel de doorgifte naar landen buiten EER, maar niets wijst er op dit moment op dat deze doorgifte niet conform de geldende doorgiftemechanismen zou kunnen gebeuren. De inschrijver geeft hierover een belangrijk statement op: ‘ViaVan Technologies, B.V. zal toezien op de naleving van eventuele bindende richtlijnen van de Aanbestedende XII-9119-16/20 Overheid en/of een bevoegde autoriteit.’ Een onderzoek van de gegevens in de offerte laten op dit ogenblik geen ander besluit toe.”
33. De verzoekende partijen kunnen geen argumenten putten uit de eerste gunningsbeslissing, die gelet op de intrekking ervan, moet worden geacht nooit te hebben bestaan.
34. Voorts lijkt de verwerende partij de AVG-problematiek uitdrukkelijk te hebben betrokken in haar regelmatigheidsonderzoek. Zij heeft zich daarvoor laten bijstaan door de Functionaris gegevensbescherming die met kennis van de diverse offertes en dus met kennis van de linken met de VS de waarborgen met betrekking tot verwerkingen van persoonsgegevens waarin de diverse inschrijvers voorzien in hun oplossing voor de mobiliteitscentrale, heeft onderzocht. De Functionaris gegevensbescherming, daarin op het eerste gezicht bijgevallen door de verwerende partij, heeft geen onregelmatigheden vastgesteld op het vlak van verwerking van persoonsgegevens. Uit de motivering blijkt overigens dat de Functionaris gegevensbescherming en daarna de verwerende partij, daarbij ook de problematiek inzake doorgiftes en de verenigbaarheid met de AVG heeft betrokken, spijts het aanvankelijke gebruik van het woord “mogelijks”. Ook in zoverre werd vastgesteld dat er op het ogenblik van de gunning geen redenen voorliggen om aan te nemen dat de doorgifte niet conform de geldende doorgiftemechanismen zou kunnen gebeuren. De opgegeven motivering laat niet toe aan te nemen dat deze conclusie enkel zou zijn gesteund op het statement van de gekozen inschrijver dat hij zal “toezien op de naleving van eventuele bindende richtlijnen van de Aanbestedende Overheid en/of een bevoegde autoriteit”.
35. Door de resultaten van het regelmatigheidsonderzoek aldus te veruitwendigen in het besluit, lijkt de verwerende partij afdoende te zijn tegemoetgekomen aan de overwegingen van het arrest nr. 250.
37. De omstandigheid dat de verwerende partij in weerwil van de in het schorsingsarrest nr. 250.599 gedane suggestie niet ook een beroep heeft gedaan op de VTC, doet aan dit alles geen afbreuk en lijkt alsnog niet van XII-9119-17/20 onzorgvuldigheid te getuigen, zeker niet in het licht van de verklaring van de verwerende partij dat een advies van de VTC binnen een aanvaardbare termijn niet mogelijk was.
38. In zoverre de verzoekende partijen zich ten slotte beklagen over een gebrek aan afdoende formele motivering, valt niet in te zien welk belang zij bij deze grief kunnen doen gelden. In ieder geval heeft de opgegeven motivering hen toegelaten daaruit af te leiden dat de verwerende partij van mening was dat onder meer door de gekozen inschrijver in afdoende waarborgen werd voorzien die een AVG-conforme uitvoering van de dienstverlening kunnen verzekeren. Het eerste middel, waarin de verzoekende partijen het standpunt verdedigen dat de gekozen inschrijver in geen enkel geval dergelijke waarborgen kan bieden, toont op het eerste gezicht aan dat de opgegeven motieven de verzoekende partijen afdoende in staat hebben gesteld zich in rechte te verweren tegen de genomen beslissing. Het eerste onderdeel is niet ernstig. Tweede onderdeel
39. Uit de in het bestek aangekondigde beoordelingsmethode van de gunningscriteria lijkt te moeten worden afgeleid dat indien de offerte op één van de gunningscriteria, waaronder het subgunningscriterium “ICT Architectuur” met een onvoldoende of matig wordt beoordeeld, dit impliceert dat de offerte niet voldoet aan de minimale vereisten van het bestek en bijgevolg als substantieel onregelmatig moet worden aangemerkt.
40. In zoverre de verzoekende partijen onder dit tweede onderdeel opnieuw argumenten putten uit de eerste gunningsbeslissing, wordt herhaald dat deze gelet op de intrekking ervan, moet worden geacht nooit te hebben bestaan.
41. Voorts lijken de verzoekende partijen het beweerd onzorgvuldig onderzoek op te hangen aan de afwezigheid van een eindbeoordeling “onvoldoende” of “matig” van het subgunningscriterium “ICT Architectuur”. De omstandigheid dat de verzoekende partijen zich verwachtten aan deze eindbeoordeling omdat naar hun mening de gekozen inschrijver een veilige XII-9119-18/20 verwerking en opslag van data niet garandeert, maakt niet op het eerste gezicht aannemelijk dat de verwerende partij het beoordelingselement “AVG Processen” ten onrechte niet of op onjuiste wijze zou hebben betrokken in haar beoordeling van het subgunningscriterium “ICT Architectuur”. In het kader van het regelmatigheidsonderzoek heeft de verwerende partij geoordeeld dat alle offertes de minimale garanties inzake de bescherming van persoonsgegevens kunnen bieden. Het tweede onderdeel is niet ernstig. Het tweede middel is, in zijn geheel genomen, niet ernstig. IX. Besluit
42. Geen van beide middelen is ernstig gebleken. De vordering tot schorsing bij uiterst dringende noodzakelijkheid dient dan ook te worden verworpen. BESLISSING
43. Het verzoek van de bv Viavan Technologies tot tussenkomst wordt ingewilligd.
44. De Raad van verwerpt de vordering.
45. De verzoekende partijen worden verwezen in de kosten van de vordering tot schorsing bij uiterst dringende noodzakelijkheid, begroot op een rolrecht van 400 euro, elk voor de helft, een bijdrage van 20 euro en een rechtsplegingsvergoeding van 700 euro, die verschuldigd is aan de verwerende partij. De tussenkomende partij wordt verwezen in de kosten van de tussenkomst, begroot op een rolrecht van 150 euro. XII-9119-19/20 Dit arrest is uitgesproken te Brussel, in openbare terechtzitting van negentien augustus tweeduizend eenentwintig, door de Raad van State, XIIe vakantiekamer, samengesteld uit: Eric Brewaeys, kamervoorzitter, bijgestaan door Silja Doms, griffier. De griffier De voorzitter Silja Doms Eric Brewaeys XII-9119-20/20 PDF document ECLI:BE:RVSCE:2021:ARR.251.378 Print deze pagina Afdrukformaat S M L XL Nieuwe JUPORTAL-zoekopdracht Sluit Tab <div